This SQL code is designed to pull u

This SQL code is designed to pull up the records of the specified username from its table of users. However, if the "userName" variable is crafted in a specific way by a malicious user, the SQL statement may do more than the code author intended.

For example, setting the "userName" variable as:

ผลลัพธ์ (ไทย) 1:

รหัส SQL นี้ถูกออกแบบมาเพื่อดึงข้อมูลของชื่อผู้ใช้ที่ระบุจากตารางของผู้ใช้ อย่างไรก็ตาม ถ้าตัวแปร "ชื่อผู้ใช้" สลักในลักษณะเฉพาะ โดยผู้ใช้ที่เป็นอันตราย คำสั่ง SQL อาจทำมากกว่าเขียนรหัสไว้

ตัวอย่าง การตั้งค่าตัวแปร "ชื่อ" เป็น:

ผลลัพธ์ (ไทย) 2:

รหัส SQL นี้ถูกออกแบบมาเพื่อดึงบันทึกชื่อผู้ใช้ที่ระบุจากตารางของผู้ใช้ แต่ถ้า "ชื่อผู้ใช้" ตัวแปรที่สร้างขึ้นในลักษณะเฉพาะโดยผู้ใช้ที่เป็นอันตรายคำสั่ง SQL อาจทำมากกว่าการเขียนรหัสตั้งใจตัวอย่างเช่นการตั้งค่า "ชื่อผู้ใช้" ตัวแปร:

ผลลัพธ์ (ไทย) 3:

รหัสนี้ถูกออกแบบมาเพื่อดึงบันทึกชื่อผู้ใช้ที่ระบุจากตารางของผู้ใช้ แต่ถ้า " ชื่อ " คือตัวแปรที่สร้างขึ้นในลักษณะที่เฉพาะเจาะจง โดยผู้ใช้ที่เป็นอันตราย , งบ SQL อาจทำมากกว่ารหัสที่เขียนไว้

เช่น การตั้ง " ชื่อ " ตัวแปรดังนี้